新手记录：华为云 IAM 入门——先分清主账号、用户组和权限，别把主账号到处用

刚开始用云的时候，我只有一个账号：登录、买机器、配网络全用它。后来才意识到，这就像把家里大门钥匙复印给所有人——方便是方便，出问题根本查不清是谁动的。华为云的 IAM（统一身份认证服务）就是解决这个问题的：主账号只管“管家权”，日常干活都用 IAM 用户。

先分清三个概念。主账号是注册时那个账号，拥有全部权限，也负责账单，平时不应该拿它登录做日常操作。IAM 用户是主账号创建出来的子账号，只能做被授权的事，适合给同事、给外包、或者给自己分一个日常用的身份。用户组是把人按职责归类，比如“开发组”“运维组”，权限挂在组上，人进组就自动获得对应权限，离职退组就收回，比一个个账号单独授权省事得多。

权限策略是 IAM 的核心。策略就是一张“允许做什么、不允许做什么”的清单。华为云内置了不少系统策略，比如只读、开发者常用权限等，新手先从系统策略起步，别一上来就自定义全量权限。记住一个原则：最小权限——只给完成工作必需的权限。开发能看日志就别给删资源的权限，能操作一台机器就别给整个项目的管理员权限。权限给大了，误操作和泄露的代价都会成倍放大。

动手顺序建议这样走。第一步，用主账号进控制台的 IAM，先建用户组，例如“开发组”，给组挂上合适的系统策略。第二步，在组里创建 IAM 用户，设好登录密码，并记下登录方式。第三步，给重要账号开启 MFA（多因素认证），登录时除了密码还要多一步验证，账号被盗的难度立刻高很多。第四步，检查自己是不是还在用主账号日常登录——如果是，尽快把日常工作切到 IAM 用户，主账号只留作管理和紧急用途。

还有两个新手最容易踩的坑。一是 AK/SK，也就是程序调用云服务的“钥匙”，千万别写进代码仓库、别截图发群里、别长期不换；只给程序用的密钥，权限同样要收紧，长期不用的要及时禁用或删除。二是共用账号：几个人共用一个 IAM 用户，出问题无法定位，离职也无法单独收回。一个人一个账号，看起来麻烦，实际是最省事的办法。

一句话总结：主账号管钱和管家，IAM 用户干活，用户组管权限，MFA 管安全。把这套分工搭好，后面再开 ECS、OBS、RDS 都安心很多，因为每一步操作都有明确的身份和边界。